La guía en lenguaje sencillo sobre eIDAS 2.0 y la Cartera Europea de Identidad Digital

eIDAS 2.0 es el nombre informal del Reglamento (UE) 2024/1183, la norma que modifica el Reglamento eIDAS original (910/2014) y construye sobre él el marco de Identidad Digital Europea. No es una sustitución, es una enmienda. El sistema de firma electrónica de tres niveles que ya conoces (SES, AES, QES) permanece exactamente igual. Lo que añade eIDAS 2.0 es una capa nueva: una cartera de identidad digital respaldada por los gobiernos que todo ciudadano y residente de la UE podrá usar, y una obligación legal para gran parte del sector privado de aceptarla.

El reglamento se adoptó el 11 de abril de 2024, se publicó en el Diario Oficial el 30 de abril de 2024 y entró en vigor en mayo de 2024. (Verás que algunas fuentes citan fechas ligeramente distintas dentro de esa franja; trata EUR-Lex como la fuente autorizada si necesitas la fecha exacta para un trámite legal.)

Si diriges un negocio que firma contratos, verifica la identidad de clientes u opera en un sector regulado con cualquier conexión con la UE, vale la pena entender eIDAS 2.0 ahora, no a finales de 2027, cuando llegue de verdad el plazo de aceptación obligatoria.

eIDAS 1.0 era, sobre todo, una historia del sector público. Permitía a los gobiernos de la UE emitir esquemas de eID y exigía el reconocimiento transfronterizo entre Estados miembros, pero nunca obligó a las empresas privadas a aceptar la identidad digital de nadie. eIDAS 2.0 cambia ese alcance de tres formas concretas.

Primero, extiende las obligaciones de aceptación del sector público a una lista definida de industrias privadas: bancos, entidades de pago y de dinero electrónico, telecomunicaciones, transporte, energía, sanidad, educación y plataformas en línea de muy gran tamaño (VLOP, por sus siglas en inglés) con más de 45 millones de usuarios en la UE. Segundo, estandariza la interoperabilidad transfronteriza mediante Actos de Ejecución y estándares técnicos de ETSI, de modo que una cartera emitida en Portugal tiene que funcionar de la misma manera cuando se presenta ante una empresa en Alemania. Tercero, endurece las normas de privacidad y minimización de datos: una cartera tiene que permitirte compartir solo el atributo específico que una parte confiante realmente necesita (por ejemplo, "es mayor de 18 años") en lugar de entregar todo tu registro de identidad.

Nada de esto afecta a las definiciones legales de SES, AES o QES bajo el artículo 25 del reglamento modificado. Una firma electrónica cualificada sigue teniendo el mismo estatus de "efecto jurídico equivalente al de una firma manuscrita" que siempre tuvo. Lo que es nuevo es *cómo* se demuestra la identidad detrás de esa firma, cada vez más a través de una credencial de cartera en lugar de una videollamada puntual o la carga de un documento de identidad.

La Cartera Europea de Identidad Digital (EUDI Wallet) es una aplicación gratuita, emitida por el gobierno, que almacena tu identidad verificada y te permite compartir de forma selectiva partes de ella (un carnet de conducir, un título, una prueba de edad, una credencial KYC bancaria) con empresas y servicios públicos que necesitan comprobar quién eres.

Piensa en ella menos como un único carnet de identidad y más como una carpeta segura de credenciales verificables que tú controlas. Tú decides qué compartir, con quién y durante cuánto tiempo. Las carteras se certifican frente a los requisitos técnicos y de seguridad establecidos en los Actos de Ejecución, cuyos primeros ejemplares empezaron a aparecer en diciembre de 2024, con más publicándose a lo largo de 2025 a medida que avanza el trabajo de estandarización de ETSI.

Aquí va la advertencia honesta: a mediados de 2026, el despliegue de las carteras sigue siendo desigual entre los Estados miembros. Algunos gobiernos están ejecutando pilotos a gran escala (los consorcios de los Large Scale Pilots financiados por la UE llevan probando casos de uso como el registro de tarjetas SIM, la verificación de edad y la comprobación de títulos desde 2023), mientras que otros van más rezagados en el despliegue en producción. El reglamento da a cada Estado miembro un plazo estricto para tener disponible al menos una cartera certificada, y la tabla más abajo detalla exactamente cuándo llega ese plazo.

eIDAS 2.0 no llegó con una única fecha de "activación". Se está desplegando por etapas, y las dos fechas que más importan para un negocio están al final de la tabla siguiente. Si te pierdes la primera, no cumples con una obligación de oferta; si te pierdes la segunda, no cumples con una obligación de aceptación.

Según la página de la Comisión Europea sobre el reglamento EUDI, aproximadamente 20 Estados miembros de la UE ya se habían sumado a pilotos de cartera a gran escala antes incluso de que empezara a correr el reloj del despliegue obligatorio, una señal de que esto no es un arranque en frío para la mayor parte del bloque. Cuatro consorcios (que cubren casos de uso como pagos, viajes, credenciales educativas y carnets de conducir digitales) llevan realizando pruebas transfronterizas desde 2023, exactamente el tipo de trabajo previo que se supone debe hacer que el plazo de finales de 2026 sea realista y no meramente aspiracional.

Esta es la pregunta que realmente se hace la mayoría: ¿cambia eIDAS 2.0 cómo funcionan las firmas electrónicas? Respuesta corta: no, no la mecánica legal. Respuesta más larga: cambia cómo demuestras la identidad detrás de la firma, y esa es posiblemente la parte más útil.

Los tres niveles permanecen sin cambios. La Firma Electrónica Simple (SES) sigue siendo un clic básico para firmar. La Firma Electrónica Avanzada (AES) sigue estando vinculada de forma única al firmante y sigue detectando manipulaciones. La Firma Electrónica Cualificada (QES) sigue requiriendo un certificado cualificado de un Prestador de Servicios de Confianza acreditado, y sigue teniendo el mismo peso legal que una firma manuscrita bajo el artículo 25(2). Eso no se ha movido ni un milímetro.

Lo que está emergiendo, moldeado por los Actos de Ejecución y los estándares de ETSI que se despliegan a lo largo de 2025-2026, es la QES vinculada a cartera: la verificación de identidad para un certificado cualificado apoyándose cada vez más en una credencial de la EUDI Wallet en lugar de una sesión puntual de videoidentificación o el escaneo físico de un documento. En la práctica, esto podría significar que un firmante se autentique una vez a través de su cartera y reutilice esa identidad verificada en varias sesiones de firma con distintos proveedores, en lugar de volver a demostrar quién es cada vez. Es una mejora genuina respecto al flujo anterior, aunque todavía está madurando. Trátalo como una práctica emergente habilitada por eIDAS 2.0, todavía no un sustituto universal y directo de los métodos de verificación de identidad ya existentes para la QES.

A finales de 2027, la aceptación de la cartera deja de ser opcional para una lista específica y nombrada de sectores: bancos y otras entidades financieras, proveedores de pagos y dinero electrónico, aseguradoras, proveedores sanitarios y plataformas en línea de muy gran tamaño con más de 45 millones de usuarios mensuales en la UE. Ese umbral de 45 millones equivale aproximadamente al 10 % de la población total de la UE usando un único servicio antes de que la aceptación de la cartera se vuelva obligatoria para él, un listón alto, pero no imposible de alcanzar para un puñado de grandes tecnológicas. Si tu negocio encaja en alguna de esas categorías, la cartera no es una integración agradable de tener que puedas aplazar indefinidamente. Es una obligación legal de aceptación con una fecha real asociada.

Todos los demás (comercios minoristas, agencias, la mayoría de empresas SaaS, firmas de servicios profesionales) no están actualmente en la lista de aceptación obligatoria. Eso no significa ignorarlo. Vale la pena planificar dos cosas de todos modos: tus clientes o socios pueden empezar a presentar credenciales de cartera de forma voluntaria mucho antes de que cualquier plazo lo obligue, y los contratos B2B piden cada vez más a los proveedores que confirmen su preparación para eIDAS 2.0 como parte de la diligencia debida de aprovisionamiento, de la misma manera que el cumplimiento del GDPR se convirtió en un punto estándar de los cuestionarios de proveedores hace unos años.

No necesitas un proyecto de cumplimiento de seis cifras para adelantarte a esto. Cinco pasos prácticos cubren la mayor parte del terreno.

1. 1
   Delimita tu situación con honestidad. ¿Estás en un sector regulado, o te acercas al umbral de usuarios de VLOP? Si no, tu presión de plazos es menor, pero no es cero. Revisa el punto anterior sobre la presentación voluntaria de la cartera y los cuestionarios de aprovisionamiento.
2. 2
   Haz un inventario de tus puntos de contacto de identidad. ¿Dónde realizas actualmente la verificación de identidad, el KYC, la autenticación reforzada de clientes o la verificación de firmas, y cuáles de esos flujos realmente necesitan un nivel alto de garantía frente a cuáles son de bajo riesgo?
3. 3
   Vigila la hoja de ruta técnica de 2026-2027. Es probable que las EUDI Wallets se autentiquen mediante flujos similares a OIDC, y que los Prestadores Cualificados de Servicios de Confianza expongan API para la emisión de AES/QES vinculadas a credenciales de cartera. No necesitas construir esto tú mismo, pero sí necesitas un proveedor de firma cuya hoja de ruta lo cubra.
4. 4
   Actualización de la documentación: los términos de servicio, los avisos de privacidad y las plantillas de contrato deberían reconocer una credencial de identidad basada en cartera y una QES junto a tus métodos de firma actuales, no como un caso hipotético futuro.
5. 5
   Haz un piloto antes de que te obliguen. Prueba la aceptación de la cartera en un entorno que no sea de producción bastante antes de cualquier plazo, de la misma manera que los equipos previsores pilotaron los flujos de solicitudes de derechos del interesado del GDPR en 2017 en lugar de improvisar en mayo de 2018.

Nada de esto requiere arrancar tu pila de firma actual. Requiere elegir un proveedor que ya esté siguiendo los Actos de Ejecución, para que el trabajo de aceptación de la cartera caiga en su hoja de ruta y no en la tuya.

Chaindoc es, ante todo, una plataforma de documentos: crea un contrato, hazlo firmar, cobra, todo sin cambiar de herramienta. El cumplimiento es la capa de confianza que sostiene ese flujo de trabajo, no un producto aparte añadido encima.

Hoy, el flujo de firma de Chaindoc ya admite firmas de nivel SES y AES con verificación de identidad antes del acceso al documento, un hash criptográfico del documento generado en el momento de la firma y una pista de auditoría a prueba de manipulaciones anclada en blockchain, la misma mecánica de no repudio que nuestra guía de cumplimiento de firma digital cubre para eIDAS, GDPR y NIST lado a lado. Cada documento firmado se puede comprobar al instante mediante la verificación gratuita de PDF en línea, así que un socio nunca tiene que fiarse de tu palabra de que un contrato no se alteró después de la firma.

A medida que los Actos de Ejecución terminen de definir los estándares de credenciales de cartera a lo largo de 2026, esa misma arquitectura de pista de auditoría es exactamente lo que necesita por debajo una QES vinculada a cartera: identidad verificada, un hash inmutable y una cadena de custodia con marca de tiempo. No necesitas reconstruir tu proceso de firma desde cero cuando llegue el mandato de la cartera. Necesitas un proveedor que ya trate la exigibilidad legal como una función de primer nivel y no como algo secundario. El plan gratuito de Chaindoc cuesta 0 €/mes, de forma permanente, sin necesidad de tarjeta de crédito, así que probar un flujo de trabajo listo para eIDAS antes de 2027 no necesita un ciclo de aprovisionamiento propio. Compara los niveles de pago en la página de precios de Chaindoc en cuanto estés listo para crecer más allá del plan gratuito.

eIDAS 2.0 no es una nueva ley de firmas. Es una nueva ley de identidad que se sitúa junto a las normas de firma que ya sigues. La SES, la AES y la QES significan exactamente lo mismo que significaban bajo eIDAS 1.0. Lo que está cambiando es quién debe aceptar una cartera digital emitida por el gobierno, y para cuándo: todos los Estados miembros ofrecen una a finales de 2026, y los sectores regulados nombrados más las plataformas de muy gran tamaño deben aceptarla a finales de 2027.

Si no estás en un sector regulado, tienes tiempo, pero "tiempo" no es lo mismo que "ignóralo". Empieza con la lista de preparación anterior, sigue de cerca los Actos de Ejecución mientras se terminan de definir a lo largo de 2026, y elige un proveedor de firma cuya hoja de ruta de cumplimiento ya dé por hecho que llegan las credenciales vinculadas a cartera. Es un esfuerzo menor de lo que la mayoría de equipos espera, y mucho menor que improvisar a finales de 2027.

Para la visión de cumplimiento más completa entre eIDAS, GDPR y NIST juntos, nuestra guía de cumplimiento de firma digital es la siguiente lectura natural.